การยืนยันตัวตนผ่าน API: API Keys vs JWT vs OAuth 2.0

ครั้งหนึ่งผมเคยปล่อย API ออกไปโดยไม่มีการยืนยันตัวตน เพราะคิดว่าเป็นเพียงเครื่องมือภายในที่ใช้งานกันเองง่ายๆ สองสัปดาห์ต่อมา บอทของคู่แข่งก็เข้ามาดึงข้อมูล (scrape) ฐานข้อมูลของเราตอนตี 3 ความผิดพลาดนั้นทำให้ผมต้องเสียค่าบริการ AWS ไปถึง 1,200 ดอลลาร์ และต้องเผชิญกับการพูดคุยที่น่าอึดอัดใจกับเจ้านาย

การทำ Authentication ไม่ใช่เรื่องสนุก แต่ถ้าคุณทำพลาด มันจะปลุกคุณขึ้นมาตอนตี 3 ด้วยการแจ้งเตือน

และนี่คือวิธีเลือกระหว่าง 3 รูปแบบหลัก

  • API Keys สิ่งเหล่านี้คือสตริงสุ่มที่มีความยาวสูง โดย Client จะส่งมาพร้อมกับทุก Request ซึ่งใช้งานง่ายและรวดเร็ว

ใช้สำหรับ: • Public APIs เช่น ข้อมูลสภาพอากาศหรือข้อมูลหุ้น • การสื่อสารระหว่าง Server ถึง Server • การทำ Prototype ไอเดียใหม่ๆ • Internal microservices

  • JWT (JSON Web Tokens) สิ่งเหล่านี้คือ Token ที่มีการลงลายเซ็น (signed) โดยจะเก็บข้อมูลผู้ใช้และสิทธิ์การใช้งานไว้ภายในตัว Token เอง ทำให้คุณไม่จำเป็นต้องไปค้นหาในฐานข้อมูลเพื่อตรวจสอบความถูกต้อง

ใช้สำหรับ: • Microservices ที่แต่ละบริการสามารถตรวจสอบความถูกต้องได้ด้วยตัวเอง • แอปพลิเคชันบนมือถือและ Single Page Applications • API ที่มี Traffic สูงและต้องการการขยายตัว (scale)

คำเตือน: อย่าใส่ข้อมูลมากเกินไปใน JWT ควรทำให้มีขนาดเล็ก โดยใส่เพียง User ID และ Roles เท่านั้น

  • OAuth 2.0 นี่คือโปรโตคอลสำหรับการมอบอำนาจ (delegation) ซึ่งช่วยให้ผู้ใช้สามารถอนุญาตให้เข้าถึงข้อมูลของตนได้โดยไม่ต้องแชร์รหัสผ่าน ลองนึกถึง "Sign in with Google"

ใช้สำหรับ: • การเชื่อมต่อกับ Third-party • ระบบที่ผู้ใช้ต้องมอบสิทธิ์เฉพาะเจาะจงให้กับแอปพลิเคชันต่างๆ • ซอฟต์แวร์ระดับองค์กร (Enterprise software)

ควรหลีกเลี่ยงสำหรับ: • API ภายในที่เรียบง่าย • ทีมขนาดเล็กที่ต้องการความรวดเร็วในการปล่อยผลิตภัณฑ์

คู่มือตัดสินใจอย่างรวดเร็ว:

• Public API: ใช้ API Keys • Internal Microservices: ใช้ API Keys • Mobile App Backend: ใช้ JWT • SaaS ที่มีบทบาทผู้ใช้ (user roles): ใช้ JWT • การเข้าถึงโดย Third-party: ใช้ OAuth 2.0

หลักการจำง่ายๆ ของผม:

  1. เริ่มต้นด้วย API Keys สำหรับบริการภายใน
  2. เพิ่ม JWT เมื่อคุณต้องการการยืนยันตัวตนผู้ใช้
  3. ใช้ OAuth 2.0 เฉพาะเมื่อลูกค้าต้องการ หรือเมื่อคุณกำลังสร้าง Platform เท่านั้น

อย่าสร้างระบบที่สมบูรณ์แบบแต่ไม่เคยถูกปล่อยออกมาเลย จงสร้างระบบที่ปลอดภัยและใช้งานได้จริง

คุณใช้รูปแบบการยืนยันตัวตนแบบไหน? บอกผมในคอมเมนต์ได้เลย

Source: https://dev.to/sirmax/api-authentication-in-2026-api-keys-vs-jwt-vs-oauth-20-when-to-use-what-h7c